Aracılığıyla paylaş

Microsoft Sentinel sorgularını ve etkinliklerini denetleme

  • Makale

Bu makalede, Güvenlik İşlemleri (SOC) çalışma alanınızdaki iç ve dış uyumluluk gereksinimleri gibi Sorgu çalıştırmaları ve Microsoft Sentinel çalışma alanınızda gerçekleştirilen etkinlikler için denetim verilerini nasıl görüntüleyebileceğiniz açıklanmaktadır.

Microsoft Sentinel şu öğelere erişim sağlar:

  • Uyarı kurallarını düzenleme gibi Microsoft Sentinel'de gerçekleştirilen tüm eylemlerle ilgili ayrıntıları sağlayan AzureActivity tablosu. AzureActivity tablosu belirli sorgu verilerini günlüğe kaydetmez. Daha fazla bilgi için bkz . Azure Etkinlik günlükleriyle denetim.

  • Microsoft Sentinel'den çalıştırılan sorgular da dahil olmak üzere Log Analytics'te çalıştırılan sorgularla ilgili ayrıntıları sağlayan LAQueryLogs tablosu. Daha fazla bilgi için bkz . LAQueryLogs ile denetim.

Bahşiş

Bu makalede açıklanan el ile sorgulara ek olarak, Microsoft Sentinel SOC ortamınızdaki etkinlikleri denetlemenize yardımcı olacak yerleşik bir çalışma kitabı sağlar.

Microsoft Sentinel Çalışma Kitapları alanında Çalışma Alanı denetim çalışma kitabını arayın.

Azure Etkinlik günlükleriyle denetim

Microsoft Sentinel'in denetim günlükleri, Azure Etkinlik Günlükleri'nde tutulur ve Burada AzureActivity tablosu Microsoft Sentinel çalışma alanınızda gerçekleştirilir.

Microsoft Sentinel ile SOC ortamınızdaki etkinliği denetlerken AzureActivity tablosunu kullanabilirsiniz.

AzureActivity tablosunu sorgulamak için:

  1. BağlanAzure Etkinlik veri kaynağı, denetim olaylarının akışını Günlükler ekranında azureActivity adlı yeni bir tabloya başlatmak için kullanılır.

  2. Ardından, diğer tablolarda yaptığınız gibi KQL kullanarak verileri sorgulayın.

    AzureActivity tablosu, Microsoft Sentinel dahil olmak üzere birçok hizmetten veri içerir. Yalnızca Microsoft Sentinel'den gelen verileri filtrelemek için sorgunuzu aşağıdaki kodla başlatın:

     AzureActivity
| where OperationNameValue startswith "MICROSOFT.SECURITYINSIGHTS"

    Örneğin, belirli bir analiz kuralını düzenleyen son kullanıcının kim olduğunu bulmak için aşağıdaki sorguyu kullanın (değerini denetlemek istediğiniz kuralın kural kimliğiyle değiştirerek xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx ):

    AzureActivity
| where OperationNameValue startswith "MICROSOFT.SECURITYINSIGHTS/ALERTRULES/WRITE"
| where Properties contains "alertRules/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
| project Caller , TimeGenerated , Properties

Raporlamanız gerekenlere bağlı olarak AzureActivities tablosunu daha fazla incelemek için sorgunuza daha fazla parametre ekleyin. Aşağıdaki bölümler, AzureActivity tablo verileriyle denetim yaparken kullanılacak diğer örnek sorguları sağlar.

Daha fazla bilgi için bkz . Azure Etkinlik günlüklerine dahil edilen Microsoft Sentinel verileri.

Son 24 saat içinde belirli bir kullanıcı tarafından gerçekleştirilir tüm eylemleri bulma

Aşağıdaki AzureActivity tablo sorgusu, belirli bir Microsoft Entra kullanıcısı tarafından son 24 saat içinde gerçekleştirilir tüm eylemleri listeler.

AzureActivity
| where OperationNameValue contains "SecurityInsights"
| where Caller == "[AzureAD username]"
| where TimeGenerated > ago(1d)

Tüm silme işlemlerini bulma

Aşağıdaki AzureActivity tablo sorgusu, Microsoft Sentinel çalışma alanınızda gerçekleştirilen tüm silme işlemlerini listeler.

AzureActivity
| where OperationNameValue contains "SecurityInsights"
| where OperationName contains "Delete"
| where ActivityStatusValue contains "Succeeded"
| project TimeGenerated, Caller, OperationName

Azure Etkinlik günlüklerine eklenen Microsoft Sentinel verileri

Microsoft Sentinel'in denetim günlükleri Azure Etkinlik Günlükleri'nde tutulur ve aşağıdaki bilgi türlerini içerir:

İşlem Bilgi türleri
Oluşturuldu Uyarı kuralları
Servis talebi açıklamaları
Olay açıklamaları
Kaydedilen aramalar
İzleme Listeleri
Çalışma Kitapları
Silindi Uyarı kuralları
Yer im -leri
Veri bağlayıcıları
Olay
Kaydedilen aramalar
Ayarlar
Tehdit bilgileri raporları
İzleme Listeleri
Çalışma kitap -larını
Workflow
Güncelleştirildi Uyarı kuralları
Yer im -leri
Durumda
Veri bağlayıcıları
Olay
Olay açıklamaları
Tehdit bilgileri raporları
Çalışma kitap -larını
Workflow

Kullanıcı yetkilendirmelerini ve lisanslarını denetlemek için Azure Etkinlik günlüklerini de kullanabilirsiniz.

Örneğin, aşağıdaki tabloda Azure Etkinlik günlüklerinde bulunan ve günlük verilerinin çekildiği belirli kaynağa sahip seçili işlemler listelenir.

Operasyon adı Kaynak türü
Çalışma kitabı oluşturma veya güncelleştirme Microsoft. Analizler/çalışma kitapları
Çalışma kitabını silme Microsoft. Analizler/çalışma kitapları
İş akışını ayarlama Microsoft.Logic/iş akışları
İş akışını silme Microsoft.Logic/iş akışları
Kayıtlı arama oluşturma Microsoft.Operational Analizler/workspaces/savedSearches
Kaydedilen aramayı sil Microsoft.Operational Analizler/workspaces/savedSearches
Uyarı kurallarını güncelleştirme Microsoft.Security Analizler/alertRules
Uyarı kurallarını silme Microsoft.Security Analizler/alertRules
Uyarı kuralı yanıt eylemlerini güncelleştirme Microsoft.Security Analizler/alertRules/actions
Uyarı kuralı yanıt eylemlerini silme Microsoft.Security Analizler/alertRules/actions
Yer işaretlerini güncelleştirme Microsoft.Security Analizler/bookmarks
Yer işaretlerini silme Microsoft.Security Analizler/bookmarks
Güncelleştirme olayları Microsoft.Security Analizler/Servis Talepleri
Olay araştırmasını güncelleştirme Microsoft.Security Analizler/Servis Talepleri/araştırma
Servis talebi açıklamaları oluşturma Microsoft.Security Analizler/Servis Talepleri/açıklamalar
Veri bağlayıcılarını güncelleştirme Microsoft.Security Analizler/data Bağlan ors
Veri bağlayıcılarını silme Microsoft.Security Analizler/data Bağlan ors
Ayarları güncelleştirme Microsoft.Security Analizler/settings

Daha fazla bilgi için bkz . Azure Etkinlik Günlüğü olay şeması.

LAQueryLogs ile denetim

LAQueryLogs tablosu, Log Analytics'te çalıştırılacak günlük sorguları hakkında ayrıntılar sağlar. Log Analytics, Microsoft Sentinel'in temel veri deposu olarak kullanıldığından, sisteminizi Microsoft Sentinel çalışma alanınızda LAQueryLogs verilerini toplayacak şekilde yapılandırabilirsiniz.

LAQueryLogs verileri aşağıdaki gibi bilgileri içerir:

  • Sorgular çalıştırıldığında
  • Log Analytics'te sorgu çalıştıranlar
  • Log Analytics'te Microsoft Sentinel gibi sorguları çalıştırmak için hangi araç kullanıldı?
  • Sorgu kendi kendine metinler
  • Her sorgu çalıştırması için performans verileri

Dekont

  • LAQueryLogs tablosu yalnızca Microsoft Sentinel'in Günlükler dikey penceresinde çalıştırılmış sorguları içerir. Araştırma Grafı kullanılarak veya Microsoft Sentinel Tehdit Avcılığı sayfasında zamanlanmış analiz kuralları tarafından çalıştırılan sorguları içermez.
  • Sorgunun çalıştırıldığı ve verilerin LAQueryLogs tablosunda doldurulacağı süre arasında kısa bir gecikme olabilir. Denetim verileri için LAQueryLogs tablosunu sorgulamak için yaklaşık 5 dakika beklemenizi öneririz.

LAQueryLogs tablosunu sorgulamak için:

  1. LAQueryLogs tablosu Log Analytics çalışma alanınızda varsayılan olarak etkin değildir. Microsoft Sentinel'de denetim yaparken LAQueryLogs verilerini kullanmak için öncelikle Log Analytics çalışma alanınızın Tanılama ayarları alanında LAQueryLogs'u etkinleştirin.

    Daha fazla bilgi için bkz . Azure İzleyici günlüklerinde sorguları denetleme.

  2. Ardından, diğer tablolarda yaptığınız gibi KQL kullanarak verileri sorgulayın.

    Örneğin, aşağıdaki sorgu, geçen hafta günde kaç sorgu çalıştırıldığını gösterir:

    LAQueryLogs
| where TimeGenerated > ago(7d)
| summarize events_count=count() by bin(TimeGenerated, 1d)

Aşağıdaki bölümlerde, Microsoft Sentinel kullanarak SOC ortamınızdaki etkinlikleri denetlerken LAQueryLogs tablosunda çalıştırılacak daha fazla örnek sorgu gösterilmektedir.

Yanıtın "Tamam" olmadığı çalıştırılacak sorgu sayısı

Aşağıdaki LAQueryLogs tablo sorgusu, 200 Tamam HTTP yanıtı dışındaki herhangi bir şeyin alındığı çalıştırılan sorgu sayısını gösterir. Örneğin, bu sayı çalıştırılamadı sorguları içerir.

LAQueryLogs
| where ResponseCode != 200 
| count

Yoğun CPU kullanan sorgular için kullanıcıları gösterme

Aşağıdaki LAQueryLogs tablo sorgusu, kullanılan CPU'ya ve sorgu süresi uzunluğuna göre en yoğun CPU kullanan sorguları çalıştıran kullanıcıları listeler.

LAQueryLogs
|summarize arg_max(StatsCPUTimeMs, *) by AADClientId
| extend User = AADEmail, QueryRunTime = StatsCPUTimeMs
| project User, QueryRunTime, QueryText
| order by QueryRunTime desc

Geçen hafta en çok sorgu çalıştıran kullanıcıları gösterme

Aşağıdaki LAQueryLogs tablo sorgusu, geçen hafta en çok sorgu çalıştıran kullanıcıları listeler.

LAQueryLogs
| where TimeGenerated > ago(7d)
| summarize events_count=count() by AADEmail
| extend UserPrincipalName = AADEmail, Queries = events_count
| join kind= leftouter (
    SigninLogs)
    on UserPrincipalName
| project UserDisplayName, UserPrincipalName, Queries
| summarize arg_max(Queries, *) by UserPrincipalName
| sort by Queries desc

Microsoft Sentinel etkinlikleri için uyarıları yapılandırma

Proaktif uyarılar oluşturmak için Microsoft Sentinel denetim kaynaklarını kullanmak isteyebilirsiniz.

Örneğin, Microsoft Sentinel çalışma alanınızda hassas tablolarınız varsa, bu tablolar her sorgulandığında sizi bilgilendirmek için aşağıdaki sorguyu kullanın:

LAQueryLogs
| where QueryText contains "[Name of sensitive table]"
| where TimeGenerated > ago(1d)
| extend User = AADEmail, Query = QueryText
| project User, Query

Microsoft Sentinel'i çalışma kitapları, kurallar ve playbook'larla izleme

Microsoft Sentinel'de gerçekleşen olayları ve eylemleri izlemek için Microsoft Sentinel'in kendi özelliklerini kullanın.

  • Çalışma kitaplarıyla izleme. Çalışma alanı etkinliğini izlemek için aşağıdaki çalışma kitapları oluşturuldu:

    • Çalışma Alanı Denetimi. Ortamdaki hangi kullanıcıların eylem gerçekleştirdiği, hangi eylemleri gerçekleştirdikleri ve daha fazlası hakkında bilgi içerir.
    • Analiz Verimliliği. Hangi analiz kurallarının kullanıldığına, hangi MITRE taktiklerinin en çok ele alındığını ve kurallardan oluşturulan olaylara ilişkin içgörü sağlar.
    • Güvenlik İşlemleri Verimliliği. SOC ekip performansı, açılan olaylar, kapatılan olaylar ve daha fazlası ile ilgili ölçümleri sunar. Bu çalışma kitabı, ekip performansını göstermek ve dikkat gerektiren eksik alanları vurgulamak için kullanılabilir.
    • Veri toplama sistem durumunu izleme. Durdurulmuş veya durdurulmuş alımları izlemeye yardımcı olur.

    Daha fazla bilgi için bkz . Yaygın kullanılan Microsoft Sentinel çalışma kitapları.

  • Alım gecikmesini izleyin. Alım gecikmesi ile ilgili endişeleriniz varsa, bir analiz kuralında gecikmeyi temsil eden bir değişken ayarlayın.

    Örneğin, aşağıdaki analiz kuralı sonuçların yinelenenleri içermediğinden ve kuralları çalıştırırken günlüklerin kaçırılmadığından emin olmak için yardımcı olabilir:

    let ingestion_delay= 2min;let rule_look_back = 5min;CommonSecurityLog| where TimeGenerated >= ago(ingestion_delay + rule_look_back)| where ingestion_time() > (rule_look_back)
- Calculating ingestion delay
  CommonSecurityLog| extend delay = ingestion_time() - TimeGenerated| summarize percentiles(delay,95,99) by DeviceVendor, DeviceProduct

    Daha fazla bilgi için bkz . Microsoft Sentinel'de otomasyon kurallarıyla olay işlemeyi otomatikleştirme.

  • Veri bağlayıcısının durumunu izlemek için Bağlan or Sistem Durumu Anında İletilen Bildirim Çözümü playbook'unu kullanarak bekleyen veya durdurulan alımı izleyin ve bağlayıcı veri toplamayı durdurduğunda veya makineler raporlamayı durdurduğunda bildirim gönderin.

Sonraki adımlar

Microsoft Sentinel'de, SOC ortamınızdaki etkinlikleri denetlemek için Çalışma Alanı denetim çalışma kitabını kullanın.

Daha fazla bilgi için bkz . Verilerinizi görselleştirme ve izleme.